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摘 ”要 : PKI 作为 一 种 安全 技术 ， 已 经 深入 到 常规 网 络 的 各 个 层面 ， 是 现 阶 段 网 络 信息 安全 问题 的 综合 解决 方案 。 
PKI 技术 的 组 成 、 功 能 和 特点 ， 结 合 新 华 社 的 具体 采编 业务 需求 ， 阐 述 了 如 何 运 用 PKI/CA 技术 通过 数字 加 密 和 数 
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通过 分 析 
字 签 名 ， 


确保 信息 保密 性 、 完 整 性 和 不 可 抵赖 性 ， 从 而 解决 新 华 社 敏感 信息 采集 传输 业务 中 的 关键 技术 难题 。 
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1.PKI 技术 
1.1 PKI 的 概念 

PKI ( Publie Key Infrastructure ) 是 一 种 遵循 标准 的 利 
用 公开 密 钥 技 术 建 立 的 提供 信息 安全 服务 的 在 线 基础 设 
施 。 它 利用 加 密 、 数 字 签 名 、 数 字 证 书 来 保护 应 用 、 通 
信 或 者 事务 处 理 的 安全 。 

PKI 必须 具有 权威 认证 机 构 CA 在 公 钥 加 密 技 术 基 础 
上 对 证 书 的 产生 、 管 理 、 存 储 、 分 发 和 撤销 进行 管理 的 
功能 ， 包 括 实现 这 些 功能 的 全 部 硬件 、 软 件 、 人 员 、 策 
略 和 规程 ， 以 及 为 PKI 体系 中 的 各 成 员 提供 全 部 的 安全 
服务 , 如 实现 通信 中 各 实体 的 身份 认证 、 保 证 数据 的 完整 、 
不 可 抵赖 性 和 信息 保密 等 。 
1. 2 PKI 的 基本 组 成 和 功能 

一 个 典型 、 完 整 、 有 效 的 PKI 应 用 系统 至 少 应 具有 
以 下 部 分 : 认证 中 心 CA( Certificate Authority ) 、 注 册 机 
构 RA( Registration Authority ) 、 证 书库 、 密 钥 备 份 及 恢 
复 系 统 、 证 书 撤销 处 理 系统 、 客 户 端 证 书 处 理 系 统 。 提 
供 的 服务 至 少 应 具有 以 下 功能 : 公 钥 密码 证 书 管理 、 黑 
名 单 的 发 布 和 管理 、 密 钥 的 备份 和 恢复 、 自 动 更 新 密 钥 、 
自动 管理 历史 密 钥 、 支 持 交 叉 认 证 。 
1. 3 PKI 的 特点 

PKI 作为 一 种 安全 技术 ， 已 经 深入 到 常规 网 络 的 各 
个 层面 ， 是 现 阶段 网 络 信息 安全 问题 的 综合 解决 方案 。 
这 从 一 个 方面 反映 了 PKI 的 天 生 的 技术 优势 和 强大 生命 
力 。 

PKI 的 特点 主要 有 : 

(1 ) 公 钥 开 放 、 私 钥 唯 一 ,保障 真实 性 和 不 可 抵赖 性 。 

(2 ) 非 对 称 密 钥 提供 方便 的 机 密 性 保护 ， 既 可 以 保 
证 相互 知道 的 实体 间 数 据 交换 的 机 密 性 ， 又 可 以 为 不 认 
识 的 实体 之 间 的 数据 交互 提供 机 密 性 保护 支持 。 

(3 ) 数字 证 书 使 密 钥 使 用 相对 独立 ， 不 需要 依靠 
其 他 在 线 文 撑 服 务 ， 除 了 依赖 在 线 服 务 的 限制 ， 使 业务 
拓展 变 得 更 加 轻便 与 灵活 。 


文献 标识 码 : A 
D01: 10.19483/j.cnki.11—4653/n.2018.08.016 


(4 ) 密 钥 管理 更 加 安全 ， 提 供 了 撤销 机 制 及 其 他 服 
务 ， 用 来 防止 私 钥 泄露 身份 被 非法 使 用 。 

(5 ) 支持 复杂 网 络 化 的 信任 结构 ， 基 于 树 状 结构 提 
供 互信 互 认 关系 ， 为 消除 网 络 世 界 的 信任 孤岛 提供 了 充 
足 的 技术 保障 。 
2.PKI 技术 在 敏感 信息 采集 业务 中 的 应 用 探索 

参考 报道 是 一 项 重要 的 报道 形式 ， 长 期 以 来 ， 记 者 
外 出 采写 的 敏感 素材 稿 上 传 问 题 因 技 术 、 安 全 等 因素 的 
制约 未 能 得 到 较 好 的 解决 ， 尤 其 是 在 近 几 年 的 重大 突 发 
性 事件 报道 中 , 该 问题 越 来 越 突出 , 急需 尽快 解决 。 同时 ， 
随 着 在 智库 研究 上 的 不 断 推进 ， 记 者 在 采集 传输 过 程 中 
对 敏感 信息 的 安全 保密 要 求 也 越 来 越 迫 切 。 

由 于 敏感 信息 不 能 采用 明文 方式 ， 通 过 采用 基于 
PKICA 技术 的 设计 的 敏感 信息 传输 系统 能 够 满足 相关 业 
务 需 求 。PKI 基于 RSA 非 对 称 加 密 算法 ， 同 时 与 对 称 加 
密 算 法 混合 使 用 ， 从 而 保证 了 信息 的 保密 性 和 传输 的 高 
效 性 。 避 
2. 1 设计 理念 

PKI 体系 在 敏感 信息 采集 业务 中 主要 有 以 下 几 部 分 : 

(1) CA 认证 中 心 。CA 认证 中 心 负责 证 书 的 发 放 、 
撤销 及 证 书 发 行 后 证 书生 命 周期 中 各 个 环节 的 管理 工作 。 

(2 ) 注册 机 构 RA。RA 是 数字 证 书 注册 的 审批 机 构 ， 
是 CA 证 书 发 放 、 管 理 的 延伸 。RA 也 是 用 户 和 CA 之 间 
的 接口 , 接受 离线 的 证 书 申请 , 提供 在 线 的 证 书 申请 服务 。 

(3) USB-key。USB-key 是 具备 硬件 加 密 功 能 的 终 
端 认证 与 加 密 存储 设备 ， 在 访问 控制 方面 具有 很 强 的 安 
全 保障 ， 同 时 能 够 用 于 存储 用 户 密 钥 、 数 字 证 书 及 业务 
数据 ， 从 而 实现 数据 信息 在 采集 终端 上 的 身份 认证 和 加 
密 存储 。 

(4) 信息 加 密 算 法 。 算 法 的 复杂 性 和 加 解密 密 钥 的 
长 度 决定 了 算法 的 安全 性 。 算法 越 复 杂 ，, 密 钥 长 度 越 长 ， 
执行 运算 所 需 的 时 间 也 就 越 长 ， 就 越 需要 计算 能 力 更 强 
的 芯片 。 系 统 采用 符合 国家 密码 管理 局 规定 的 密码 设备 
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实现 数据 签名 、 验 签 、 加 密 、 解 密 等 功能 ， 搭 配 高 处 理 
性 能 的 芯片 ， 提 供 数据 的 机 密 性 、 可 认证 性 、 完 整 性 和 
不 可 抵赖 性 以 及 数字 信封 等 服务 。 

(5 ) 数字 证 书 。 数 字 证 书 是 PKI 的 核心 数据 结构 
依赖 证 书 上 第 三 方 的 数字 签名 ， 用 户 可 以 离线 的 确认 一 
个 公 钥 的 真实 性 。 在 实际 应 用 中 ,证 书 认证 系统 需 提 
供 签发 证 书 / 证书 注销 列表 的 服务 ， 用 户 身 份 注册 、 审 核 
机 构 ， 并 且 承 担 整 个 证 书 认证 系统 的 安全 管理 工作 。 


证 书 下 载 
CRL 查 询 


一 一 USB-key 二 一 一 一 外 带 装载 〈 初 始 化 信息 ) 


注册 、 申 请 、 认 证 
| 更 新 、 撤 销 、 恢 复 PKI 用 户 


册 142/ 击 前 


图 1 敏感 信息 采集 业务 中 的 PKI 体系 


基于 PKI 技 术 的 敏感 信息 传输 系统 以 终端 发 稿 电脑 、 
智能 手机 为 稿件 编辑 载体 ， 进 行 稿件 的 存储 加 密 、 传 输 
加 密 、 下 载 加 密 、 强 身份 认证 等 安全 加 固 。 

身份 认证 加 固 : 登录 时 采用 双向 身份 鉴别 ， 保 证 上 
户 身 份 的 合法 性 和 安全 性 。 

稿件 存储 加 固 : 可 进行 本 地 稿件 文字 、 图 片 加 密 存储 ， 
加 密 后 的 稿件 数据 用 其 他 方式 导出 或 第 三 方 阅读 器 都 无 
法 打开 。 

传输 链 路 加 固 : 稿件 在 传输 的 链 路 中 采用 加 密 通道 ， 
避免 稿件 在 传输 中 被 算 改 、 丢 失 、 恶 意 窃取 等 。 

下 载 文稿 加 固 : 终端 从 总 社 服务 器 下 载 稿 件 文字 和 
图 片 ， 加 密 存储 在 终端 上 。 
2. 2 CA 服务 平台 和 签名 及 认证 服务 

在 敏感 信息 传输 系统 中 ，CA 服务 平台 和 签名 及 认 
证 服务 为 安全 的 基础 。CA 服务 平台 负责 给 用 户 签发 数 
字 证 书 ， 签 名 及 认证 服务 用 于 验证 用 户 的 身份 ， 并 对 
客户 端的 加 密 数 据 进行 解密 处 理 。 在 实际 应 用 中 ，CA 
服务 平台 和 签名 认证 服务 采用 现 有 的 商 密 成 熟 产 品 方 


案 。 


CA 服务 平台 配置 了 2 台 密 码 机 ， 可 以 为 安全 性 、 稳 
定性 和 设备 性 能 要 求 较 高 的 业务 系统 提供 快速 、 高 效 的 
密码 运算 服务 。CA 服务 平台 中 的 相关 密 钥 均 由 密码 机 产 
生 ， 根 密 钥 也 在 该 密码 机 的 安全 存储 中 ， 有 效 保 证 密 铀 
的 安全 性 。 

签名 及 认证 服务 器 系统 为 CA 服务 平台 和 敏感 信息 
采集 传输 汇聚 平台 间 的 纽带 和 支柱 ， 为 应 用 系统 提供 全 
面 的 安全 支撑 ， 包 括 身 份 认证 、 数 字 签 名 验 签 、 数 据 加 
解密 及 证 书 和 证 书 状态 查询 等 安全 服务 。 
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2. 3 系统 架构 

敏感 信息 采集 传输 汇聚 系统 分 为 三 部 分 : 信息 采集 
服务 系统 、 安 全 管理 系统 、 客 户 终端 。 

罕 息 采集 服务 系统 主要 负责 提供 数据 内 容 服务 ( 如 
上 传 、 发 布 、 浏 览 等 ) , 是 信息 资源 应 用 与 发 布 的 执行 者 ; 
结合 密码 技术 、 安 全 技术 ， 提 供 敏 感 信息 业务 数据 采集 
和 传输 。 

安全 管理 系统 : 包括 身份 认证 子 系统 、 密 码 服务 子 
系统 、 权 限 管理 与 访问 控制 子 系统 、 监 控 与 审计 子 系统 等 。 
其 主要 职责 是 完成 敏感 信息 从 产生 、 存 储 到 传输 、 发 布 、 
应 用 ， 直 至 数据 销毁 全 过 程 的 数据 访问 与 使 用 安全 。 

客户 终端 : 是 最 终 合 法 用 户 使 用 信息 系统 平台 的 认 
证 密 钥 ， 也 是 终端 数据 加 密 与 存储 的 密码 设备 。 通 过 客 
户 终端 用 户 完 成 自身 的 身份 认证 与 合法 资源 获取 与 本 地 
数据 的 加 密 储 存 和 管理 。 
2.4 业务 实现 

应 用 系统 登录 : 系统 为 每 个 用 户 配 备 一 个 USB-key 
安全 钥匙 ， 提 供用 户 身 份 鉴别 和 数据 加 解密 存储 与 传输 
功能 。 用 户 必 须 搬 入 自己 的 USB-key， 通 过 安全 PIN 码 
验证 ， 方 可 启动 客户 端 应 用 ， 访 问 系统 资源 ， 查 看 并 使 
用 加 密 文 件 。 每 个 key 代表 一 个 操作 用 户 的 操作 身份 及 
权限 ， 登 录 时 根据 key 中 的 证 书信 息 通 过 CA 认证 服务 器 
进行 证 书 有 效 性 验证 ， 并 根据 应 用 服务 器 进行 用 户 权 限 
信息 核实 获取 。 

加 密 和 解密 : 记者 和 编辑 的 PC 机 、 笔 记 本 、 智 能 
机 上 安装 安全 加 固 的 信息 采集 客户 端 ， 配 合 终端 密码 安 
全 设备 进行 稿件 的 采写 、 存 储 和 传输 。 采 写 的 稿件 数据 
可 经 硬件 加 密 后 存储 在 指定 的 安全 目录 下 ( 本 地 磁盘 安 
全 区 或 者 移动 安全 密码 终端 设备 ) ; 传输 过 程 中 ， 数 据 
都 是 以 密 文 方式 传送 ， 稿 件 读 和 内存 时 通过 USB-key 进 
行 解密 , 经 USB-key 回 写 于 指定 安全 目录 或 加 密 后 传输 ， 
做 到 “明文 不 落 盘 ”。 数 据 以 密 文 形式 传 回 后 再 对 密 文 
进行 解密 。 


2 ”敏感 信息 采集 业务 流 图 


安全 管理 控制 : 总 服务 融 端 通过 安全 管理 中 心 配置 、 
分 发 、 管 理 客户 端 安全 钥匙 ,， 设 定 与 下 发 终端 安全 策略 ; 
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